频 道 直 达 - 新闻 - 读书 - 培训 - 教程 - 前沿 - 组网 - 系统应用 - 安全 - 编程 - 存储 - 操作系统 - 数据库 - 服务器 - 专题 - 产品 - 案例库 - 技术圈 - 博客 - BBS
51CTO.COM_中国领先的IT技术网站
首页>>网络安全>>病毒防治>>查杀技巧>>工具应用>>
找资料：

快速有效地封杀—巧利用Iris来查找蠕虫

作者: 沈科进 出处:中国电脑教育报　 (  ) 砖  (  ) 好  评论 ( ) 条 　进入论坛
更新时间：2006-02-05 15:02
关 键 词：Iris
阅读提示：这里向大家推荐一个叫Iris的软件，它是网络管理员的好帮手，能快速有效地查找出网络中的蠕虫病毒。
近些年，蠕虫病毒的每一次大规模爆发，都给网络世界带来了深重的灾害。蠕虫病毒有着很强的破坏性，一个局域网中只要有一台电脑感染了蠕虫病毒，就有可能引起网络性能下降、网络阻塞，严重的还会导致网络瘫痪。对于蠕虫病毒的检测，普通用户通常通过更新杀毒软件的病毒库，来判断电脑是否感染了蠕虫病毒；但作为局域网的管理者，是否有必要亲自去更新每台电脑的病毒库呢？况且即使更新了杀毒软件的病毒库，也未必一定能检测出最新的蠕虫病毒。下面笔者向大家推荐一个叫Iris软件，它是网络管理员的好帮手，能快速有效地查找出网络中的蠕虫病毒。
W32.Sasser(“震荡波”)系列病毒是一种利用微软操作系统的Lsass缓冲区溢出漏洞(MS04-011)进行传播的蠕虫病毒。由于该蠕虫在传播过程中会发起大量的扫描，因此对网络运行会造成很大的冲击。W32.Sasser.B.Worm(以下简称Sasser.B蠕虫)是该系列的一个变种，此病毒通过在已被感染的机器上开启TCP端口5554建立FTP服务器，并通过445端口扫描随机的IP，向连接成功的机器发动攻击，进一步感染其它机器。受感染的系统会出现倒计时对话框，频繁重新启动，系统运行速度明显减慢或死机，上网只能持续很短时间就无法浏览网页等现象。
 
想快速检测是否感染此病毒可以通过如下操作：
 
在命令状态下输入“netstat -an”命令。如果出现类似如图1所示的清单，则说明已经感染。
 

图1
从上图中我们可以获得以下信息：Sasser.B蠕虫在445端口的状态(State)不是监听(Listening)，也不是建立(Established)，而是等待连接(SYN_SENT)，且它要求等待连接的地址都是随机产生的地址，根本无法到达，所以当这些要求连接的数据包传送到交换设备后，由于目的地址不可能到达，很容易造成大量数据驻留，从而引起网络瘫痪。
 
利用Iris检测SasserB蠕虫，具体步骤如下:
在做代理或者地址转换的主机上安装Iris软件
 
Sasser.B蠕虫所发送的数据包并不是广播包，而是有明确目的地址。这些数据包直接经过代理或者地址转换寻找目的地址，并非像ARP广播包一样发送到局域网中的每一台主机。所以我们说，Iris软件只能安装在做代理或者地址转换的主机。
 
启动Iris软件进行端口设置
 
选择“Filter”下拉菜单下的“Edit Filter”命令，在弹出的“Edit filter settings”对话框中，选择左边框架中“Ports”命令，把445端口作为端口过滤对象。Sasser.B蠕虫病毒试图通过445端口建立数据连接，并非其他端口，所以只要对445端口进行监控即可。具体如图2所示。
 

图2
捕获数据分析数据
 
选择工具栏上“开始”命令按钮，开始捕获数据。
 
从捕获到的数据中我们可以获知：一台IP地址为10.44.5.73的主机在短时间内通过端口445向目的地址发送大量数据包，并且这些目的地址都是随机产生的，是不可到达的。
 
随着时间的积累，大量数据包因找不到目的地址，很容易驻留在交换设备中，引起网络阻塞。若出现上述情况，我们就可以断定该主机中了Sasser.B蠕虫病毒。
 
上面的实例详细说明了Iris软件的使用方法，当然Iris软件中还有很多功能，比如统计功能，日志功能等，对蠕虫病毒的监测也很有帮助。
 
虽然蠕虫病毒在互联网上大肆泛滥，给人们带来了很大的损失，但只要我们提高网络安全管理的水平，增强用户的安全意识，就一定能把损失降到最低。(责任编辑：zhaohb)

滚动新闻　术语词典　问题悬赏
发表
评论
共 条 查看
评价
叫个好
拍一砖
相关 专题 文档
相关 博客 帖子
相关 白皮书 资料
相关 讨论组 技术人
我也说两句

匿名发表

(如果看不清请点击图片进行更换)


中 国 领 先 的 IT 技 术 网 站 ·
技 术 成 就 梦 想
·教你使用Anti ARP Sniffer查找ARP..
·网络嗅探教程：使用Sniffer Pro监..
· 美国10大流氓软件排行..
· 教你使用Anti ARP Snif..
· 网络嗅探教程：使用Sni..
 · ISA Server、虚拟机、..
· Windows年底再现图片漏..
· MBSA本地审核策略建议
 		  · 时代亿信政府行业安全..
· 企业局域网安全访问控..
· 常见病毒手工清除方法..
 · iris使用教程,从教程中..
· 如何分析用IRIS、SINNF..
· 一款很好的网络抓包工..
排行榜
·程序员密码学 有奖自测
·十一新闻回顾：微软智斗盗版
· 新作前瞻：Hal Fulton..
· 你真的明白什么是可伸..
· 微软发布.Net Framewor..
· 微软统一沟通系列视频..
· 网络嗅探教程：用Sniff..
· Linux即将再次飞跃?!
· SAP抛出68亿美元现金收..
· 报告称美因盗版年损失5..
   · Linux五点优势压倒Vist..
· 微软公布5个Vista和Ser..
· 《魔兽世界》在台遭黑..
· ASP.NET基础教程-C#与J..
· 刀片服务器与机架式服..
· 使用策略路由手工指定..
· 装了VS2005之后重装IIS..
· 一切皆有可能——在iPo..
订阅技术快讯
查看样刊
电子杂志下载
名称：网络安全精品应用黄皮书
简介：《2007精品网络安全黄皮书》包括了9个大类24个小类， 800余篇文章，内容包含了熊猫烧香病毒、DDOS攻击、ARP病等热点问题的介绍及解决方案。从病毒查杀、防范、系统、数据等各方面的安全设置到黑客技术的了解、防范，涉及到了安全应用的全部领域, 由浅至深内容全面。
名称：Vista精品应用黄皮书
简介：《Vista精品应用黄皮书》囊括了Vista的各方面内容。此次的精简版，是将里面的内容做了提取，便于用户下载和使用。内容包含了各种Vista的安装与实施、技巧与解析以及各种Vista相关学习文档和相关软件的安全下载。该电子书是了解和应用Vista人员必备的工具手册，并且也是第一本
名称：2006中国IT论坛精品集合
简介：本书由“51CTO论坛推广联盟”制作完成。书中所有内容均来自各联盟成员的论坛（网站）。制作本书的目的是为了集中大家的优势资源，将更多更精彩的内容带给广大技术爱好者。本书是联盟成立以来制作的第一本书。
专题
CISSP认证成长之路
CISSP认证成长之路		51CTO国庆充电专题之好书推荐
51CTO国庆充电专题之好书推荐
· 网络技术经典基础教程
· 51CTO主编推荐经典专题
· RAID——磁盘阵列基础
· 充电计划之热门IT认证..
· 51CTO技术自测 挑战自..
· AMD Phenom三核处理器..
· 国际文档格式标准开战
· 2007年互联网大会
 · 我是黑客我怕谁——讲..
· ARP攻击防范与解决方案
· Solaris 10 配置管理
· Solaris基础知识入门
· RIP路由协议专栏
· MPLS路由协议专栏
· OSPF路由协议专栏
· 思科路由器产品
Java编程开发手册
Java编程开发手册		Java基础教程
Java基础教程
· Java基础教程
· VPN技术
· ARP攻击防范与解决方案
· SQL Server 2005全解
· SOA 面向服务架构
· SQL Server 2005全解
· Java编程开发手册
· RAID——磁盘阵列基础
 · 三层交换技术专题
· SQL Server入门到精通
· Windows Server 2003企..
· Windows远程桌面应用
· C#技术开发指南
· VPN技术
· C#技术开发指南
· Solaris 10 配置管理
Java编程开发手册
Java编程开发手册		Java基础教程
Java基础教程
· ARP攻击防范与解决方案
· VPN技术
· SQL Server 2005全解
· Java基础教程
· SQL Server入门到精通
· SQL Server 2005全解
· SOA 面向服务架构
· Java编程开发手册
 · C#技术开发指南
· 三层交换技术专题
· C#技术开发指南
· Windows远程桌面应用
· RAID——磁盘阵列基础
· Windows Server 2003企..
· 邮件服务器专题
· wimax技术与趋势
专家
DB2 9技术资源中.. 推荐阅读  
·DB2 Viper快速入门
·DB2 9数据库的镜像分割与..		 ·将XML应用程序从DB2 8.x..
·DB2 9中的pureXML：如何..
51CTO.com编辑部.. 推荐阅读  
·服务器中的“傻瓜机”在..
·盖茨也喜欢登录Youtube看..		 ·
·
白璐 的博客  
·使用策略路由手工指定双..
·应用Etherchannel扩展企..		 ·将职业教育职业化 - 各IT..
·思科交换机上实现MAC地址..
梁林 的博客  
·J0ker的CISSP之路：复习-..
·J0ker的CISSP之路：复习-..		 ·J0ker的CISSP之路:复习-I..
·9月第3周安全回顾 内网安..
关键字阅读
频道精选
组网建网 安全频道
· NGN:下一代网络
· 网络访问中断大排查
· FTTx光纤接入
 · 教你使用Anti ARP Sniff..
· 网络嗅探教程：使用Snif..
· 常见病毒手工清除方法大..
编程频道 前沿技术
· C++是垃圾语言？！
· 2007年IT界七大抄袭事件
· Java实用开发全集
 · 解析Ajax开发框架 走进A..
· 基于Google Maps与Ajax..
· 基于Google Maps与Ajax..
操作系统 服务器
· 热门 IT 培训认证官方资..
· Ubuntu 中文开源频道
· Solaris基础知识入门
 · 理性面对四核服务器选购
· 硬件RAID及RAID组建实用..
· 费力不讨好 数据中心主..
数据库 存储频道
· 甲骨文Oracle 11g正式发..
· Oracle数据库开发之PL/S..
· Oracle数据库开发基础教..
 · 存储2006，一个并购的大..
· IDC宣布浪潮蝉联存储市..
· 双机热备技术
主编信箱 热线:010-66476606　告诉我们您想看的：专题　文章
关于我们 | 诚聘英才 | 联系我们 | 网站大事 | 意见反馈 | 网站地图
Copyright©2005-2007 51CTO.COM 版权所有